Session vs JWT: Jangan Asal Ikut Tutorial YouTube, Pahami Bedanya!

• Server Capek: Setiap kali ada yang mau ngapa-ngapain, server harus buka-tutup "buku besar" buat ngecek. Kalau tamunya ada sejuta, bukunya tebel banget dan antrian jadi lama (Isu Skalabilitas).

2. Token-Based Auth / JWT (Si Gelang Konser)

Sekarang bayangkan kamu mau masuk konser musik besar.

1. Kamu beli tiket, lalu ditukar jadi Gelang Tangan (JWT).
2. Di gelang itu sudah tertulis jelas: "Kikuk, Tiket VIP, Berlaku sampai jam 10 malam".
3. Pas mau masuk, satpam (Server) nggak perlu buka buku daftar penonton. Satpam cuma perlu cek: "Gelangnya asli nggak? Tanda tangannya bener nggak?". Kalau asli, silakan masuk.

Server nggak nyimpen data apapun soal kamu setelah ngasih gelang. Server cuma percaya sama apa yang tertulis di gelang itu.

Kelebihannya:

• Server Santai (Stateless): Server nggak perlu bolak-balik cek database setiap ada request. Sangat bagus kalau penontonnya jutaan dan gerbang masuknya banyak (Skalabilitas tinggi/Microservices).

Kekurangannya (Ini yang sering dilupain pemula!):

• Susah Dicabut (Revoke): Kalau gelangmu jatuh dan ditemu orang jahat, orang itu bisa masuk konser seenaknya sampai jam 10 malam. Satpam nggak bisa "membatalkan" gelang yang sudah beredar di luar sana dengan mudah. Kamu harus nunggu gelangnya kadaluarsa (Expired) dulu.

Jadi, Kapan Pakai Mana?

Jangan jadi developer yang cuma ikut-ikutan. Jadilah engineer yang paham trade-off.

Gunakan SESSION Jika:

• Aplikasi kamu butuh fitur keamanan ketat di mana kamu harus bisa nendang user keluar kapan saja (contoh: Aplikasi Perbankan, Admin Panel internal).
• Usernya belum sampai jutaan concurrent (website kampus, web UMKM, masih aman pakai session).

Gunakan JWT Jika:

• Aplikasi kamu punya banyak user dan butuh performa tinggi (skala startup unicorn).
• Kamu pakai arsitektur Microservices (biar tiap servis nggak perlu nanya ke database pusat terus-terusan).
• Kamu bikin Mobile App (Session/Cookie kadang ribet diatur di mobile native).

Kesimpulan

Berhenti menganggap JWT itu "obat segala penyakit". JWT itu keren, tapi punya risiko keamanan kalau nggak paham cara pakainya (terutama soal refresh token dan revocation).

Sebagai Backend Developer, tugas kita bukan cuma bikin fitur login jalan, tapi memastikan cara yang dipilih itu aman dan sesuai kebutuhan sistem.

#backend #auth #security #engineering-basics